[原载：《中国信息安全》]

1. 企业数据安全挑战日益严峻，安全模式亟需升级

云计算和大数据在过去数十年改变了整个IT信息生态，随着移动互联网、虚拟化、自带设备（BYOD）、人工智能等新技术的应用与发展，这种改变还将持续。越来越多的企业为提升内外部效率体验，降低运营成本，开始把需要保护的应用运行在数据中心或云平台中，这从根本上带来了更多的内外部安全风险。一旦发生数据泄漏事件，将给企业的生产、品牌等多方面带来难以挽回的巨大损失。这方面的案例，远可追溯到四年前的斯诺登事件，近的有京东几亿用户数据泄漏、优步数据泄漏以及早前发生的支付宝、携程用户信息泄露事件等。可见，传统的以网络为中心的边界安全模式已日渐僵化，无法满足云计算环境下企业对数据保护的需求。

2. 《网络安全法》规定数据安全成企业首要责任

今年6月份，《网络安全法》及《网络产品和服务安全审查办法》正式施行，明确规定保障数据安全为企业的责任和义务，这意味着数据泄露不仅关涉企业生产和品牌形象，更意味着企业将因此承担相关法律责任。

就目前行业现状而言，我国的互联网行业发展迅猛，在视频直播、移动支付、智能硬件等很多技术层面上都领先全球，但整体的企业信息化程度仍远远落后于发达国家市场，其中是否安全可控成为很多新的技术落地，被政府、企业采用的最大障碍之一。网安法等法规政策的实施与不断完善，将逐步从制度层面推动网络产品和服务安全可控水平的规范和提升，提高政府及企业对网络服务与产品采购和使用上安全性的信心，推动政企信息化，拉动云计算、物联网、人工智能等新技术的发展及落地应用。对于安全厂商而言，数据安全不再仅是需要满足合规的“表面功夫”，而是真正要做到“结果导向”，产品技术与服务能力能经得起检验，保证各行业业务与数据安全需求。

同时，对于每一个企业而言，也需要将安全放在与业务发展同等重要的位置，开始思考如何建立以数据与业务为中心的新安全模式与体系，让安全能跟得上业务发展步伐，和业务一起前进。

3. 从人防到技防，企业应建立“无边界”数据安全保障体系

新技术带来的最大变化即是：机构与企业数据不再局限于有形的边界如防火墙、网关之内；安全的威胁也不仅仅是来自于外部，而是内外并重，甚至员工、外包服务商等信任体，有意窃取与无意违规操作带来更大的数据泄漏风险。因此，企业应建立新一代“无边界”数据安全保障体系，这一体系应具备以下几大特征：

（1）无边界防护。无边界防护是企业安全策略的未来。企业要保护的是核心业务数据，因此在云计算时代需要打破传统的以网络为中心的边界防护策略，变“建围墙”为“以数据与业务为新中心”，将身份权限作为新的边界。

（2）安全需形成体系。数据安全并非单点保护，企业需要建立事前-事中-事后的整体安全闭环，并更为关注事前的态势感知。态、势、感、知四个字拆开来看，“态”指现在，“势”是未来，“感”要看得到、看得清，让威胁高度可视化，“知”则是分析明白并付诸行为。通过态势感知，进而在事中对安全风险处理形成行为指导，并通过全程不间断、持续监控，让事后能对问题及时溯源，才是真正全面、有效的企业安全保障体系。

（3）充分利用新技术，变人防为技防。如果把风险与安全比作“魔”和“道”，那么技术进步则是“双刃剑”，“魔”和“道”的力量都因此在增长。安全是一个相对的概念，世上没有百分之百绝对的安全。在一个阶段，能第一时间将新技术比如大数据分析、机器学习等应用于数据安全防护上，让“魔”难以攻克，或攻克成本变得非常高，就能做到相对安全，让数据犯罪无计可施。

（本文刊登于《中国信息安全》杂志2017年第12期）